CVE-2026-61732 in Decepticon
الملخص
بحسب VulDB • 24/09/2026
Decepticon هو وكيل اختراق ذاتي لفريق الهجوم (Red Team). تقوم الإصدارات السابقة من الإصدار 1.1.17 بتغليف نتائج زحف الويب — وهي مخرجات استطلاع الوكيل ضد الخدمات المستهدفة — داخل رسائل نموذج لغوي كبير (LLM) دون تحييد الحروف الخاصة لرموز ChatML. في نموذج النشر BYOK (Bring Your Own Key)، يقوم المستخدمون بتكوين بيانات الاعتماد الخاصة بهم لنموذج LLM على أي نقطة نهاية متوافقة مع OpenAI. لا تقوم معظم مزودي النماذج مفتوحة المصدر والمُنتشرة ذاتيًا (مثل vLLM، وSGLang، وOllama، وLM Studio، وtext-generation-webui، وما إلى ذلك) بتصفية الحروف الخاصة لرموز ChatML من محتوى المستخدم في تكويناتهم الافتراضية. يتم تحليل هذه الرموز إلى معرفات رموز حدود دور هيكلية، مما يعني أن سلسلة هجومية مزروعة في صفحة ويب مستهدفة تزور دورة تشغيل جديدة يعاملها النموذج على أنها موثوقة، متجاوزة بذلك ضوابط الحماية الخاصة بوكيل Decepticon والنتيجة النهائية هي تنفيذ أوامر عشوائية داخل بيئة Kali Linux المعزولة. يصحّح الإصدار 1.1.17 هذه الثغرة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.